Recentemente, o Comité Europeu para a Proteção de Dados (CEPD) emitiu um parecer solicitado pelas autoridades de controlo holandesa, norueguesa e alemã (Hamburgo), ao abrigo do artigo 64.º, n.º 2 do RGPD[1], com o objetivo de compreender em que circunstâncias e condições os modelos de “consentimento ou pagamento” relativos ao marketing comportamental podem ser implementados por grandes plataformas online de forma a que constitua um consentimento válido, tendo em conta o Acórdão Bundeskartellamt[2].
Para compreendermos o que está em causa, vamos analisar os pontos mais relevantes apresentados no parecer.
Os modelos de “consentimento ou pagamento”, segundo o CEPD, são modelos em que os responsáveis pelo tratamento – as grandes plataformas online – oferecem aos titulares a escolha entre, pelo menos, duas opções para aceder a um serviço. Através desta escolha, o titular pode (i) consentir o tratamento dos seus dados pessoais para uma finalidade específica – neste caso, o tratamento de dados pessoais para fins de marketing comportamental – ou (ii) decidir pagar uma taxa para obter o acesso a esse serviço sem que os seus dados sejam alvo de tratamento para essa finalidade em concreto.
O marketing comportamental é considerado uma forma de publicidade particularmente intrusiva, dado que pode fornecer aos responsáveis pelo tratamento uma visão muito detalhada da vida pessoal dos indivíduos, o que levanta riscos significativos para os direitos e liberdades dos mesmos, incluindo a discriminação, exclusão e a possível manipulação dos utilizadores, tal como destaca a Orientação 8/2020 sobre a segmentação de utilizadores de redes sociais (“Guidelines 8/2020 on the targeting of social media users”).
Neste sentido, os responsáveis pelo tratamento têm a obrigação de cumprir com os requisitos impostos pelo RGPD no que respeita aos princípios relativos ao tratamento (artigo 5.º do RGPD) e, em especial, às condições aplicáveis ao consentimento (7.º do RGPD). Este último ponto é fundamental para compreender se o consentimento é dado de forma livre, específica, informada e inequívoca, tal como se encontra previsto no artigo 4.º, n.º 11, do RGPD. Consequentemente, o consentimento apenas pode ser válido se o titular for capaz de exercer uma “real” escolha e não existirem riscos que possam trazer consequências negativas para o titular se este não consentir o tratamento em causa.
Dada esta situação, o CEPD realça a impossibilidade de, na maioria dos casos, os responsáveis pelo tratamento cumprirem com os requisitos relativos ao consentimento, pelo facto de apresentarem aos titulares apenas uma opção entre consentir o tratamento de dados pessoais para efeitos de marketing comportamental ou pagar uma taxa para que os dados não sejam tratados para essa finalidade, o que tornaria o consentimento inválido.
No entanto, para que o consentimento seja considerado válido nestas circunstâncias, é necessário que os responsáveis pelo tratamento considerem a possibilidade de fornecer aos titulares uma “alternativa equivalente” que não implique o pagamento de uma taxa para que o titular possa usufruir do serviço, sem que os seus dados sejam tratados para fins de marketing comportamental.
Para que os responsáveis pelo tratamento possam fornecer uma “alternativa equivalente”, o CEPD salienta que deve ser tida em consideração a oferta de uma “alternativa gratuita”, de forma a assegurar que o titular faça uma escolha genuína, evitando optar entre consentir o tratamento de dados para este efeito ou pagar uma taxa para que esse tratamento não seja efetuado. Para este efeito, ao existir uma “alternativa gratuita”, o consentimento será dado livremente pelo facto de o titular poder efetivamente fazer uma escolha relativa ao tratamento dos seus dados pessoais.
Através desta alternativa, os responsáveis pelo tratamento podem oferecer uma “alternativa adicional” que será relevante para mitigar os prejuízos que possam surgir para os titulares que não consintam o tratamento de dados para esta finalidade, e que teriam de pagar uma taxa para usufruir do serviço.
Neste sentido, o CEPD estabeleceu critérios para avaliar se uma versão alternativa do serviço prestado pelo responsável pelo tratamento deve ser considerada equivalente à versão do serviço prestada, sob a condição de consentimento para o tratamento de dados pessoais para fins de marketing comportamental. O principal aspecto desta versão é que ambos os serviços têm de ser genuinamente equivalentes.
Podem ser considerados equivalentes:
- Se o responsável pelo tratamento não puder tratar dados pessoais para essa finalidade em concreto;
- Se a versão alternativa não apresentar uma qualidade diferente e nenhuma funcionalidade for bloqueada;
- Apresentar os mesmos elementos e funções que a versão com marketing comportamental.
Outro ponto relevante e que foi suscitado pelo Acórdão Bundeskartellamt, é o facto de poder existir uma posição dominante no mercado que poderia conduzir a um desequilíbrio evidente entre o responsável pelo tratamento e o titular. Não obstante, esta situação deve ser avaliada caso a caso[3].
Face ao exposto, o CEPD concluiu que o consentimento recolhido pelos responsáveis pelo tratamento, no contexto dos modelos de “consentimento ou pagamento” relacionados com marketing comportamental, só pode ser considerado válido na medida em que os responsáveis pelo tratamento possam demonstrar que se encontram em conformidade com o princípio da responsabilidade (artigo 5.º, n.º 2 do RGPD) e com as condições de validade do consentimento (artigos 4.º, n.º 11 e 7.º do RGPD). Todavia, a recolha do consentimento não isenta os responsáveis pelo tratamento a cumprirem com outros requisitos previstos no RGPD, nomeadamente os princípios relativos ao tratamento (artigo 5.º).
Contudo, os responsáveis pelo tratamento devem apresentar várias alternativas para que o titular possa usufruir do serviço, sem que os seus dados sejam tratados para fins de marketing comportamental, através de uma alternativa gratuita do serviço, sendo esta equivalente à versão paga do mesmo.
Patrícia Batista Santos
Técnica de Privacidade na AdvanceCare;
Colaboradora do NOVA Compliance Lab e Membro do Observatório da Proteção de Dados Pessoais da NOVA School of Law
[1] Segundo o artigo 64.º, n.º 2, do RGPD, as autoridades de controlo podem solicitar ao Comité a análise de qualquer assunto de aplicação geral ou que produza efeitos em mais do que um Estado-Membro, de forma a obter um parecer, nomeadamente se a autoridade de controlo não cumprir com as obrigações previstas em matéria de assistência mútua ou de operações conjuntas previstas nos artigos 61.º e 62.º do RGPD, respetivamente.
[2] Acórdão de 4 de julho de 2023, “Bundeskartellamt, C‑252/21, ECLI:EU:C:2023:537.
[3] A questão levantada pelo Acórdão Bundeskartellamt prendia-se ao facto de saber se o consentimento dado pelo utilizador de uma rede social ao operador dessa rede poderia satisfazer as condições de validade previstas no artigo 4.º, n.º 11, do RGPD, sempre que esse operador detenha uma posição dominante no mercado (das redes sociais).